25.01.2007 16:22
Zugriff auf Linux mit beliebigen Passwörtern
Ein Update der Linux-PAM-Entwickler beseitigt eine Schwachstelle, mit der sich die Authentifizierung austricksen lässt. Der Fehler findet sich in der Funktion _unix_verify_password im Modul modules/pam_unix/support.c. Dadurch ist es laut Fehlerbericht unter Umständen möglich, sich an einem Konto mit jedem beliebigen Passwort anzumelden. Der besondere Umstand tritt aber nur dann auf, wenn der Passwort-Hash in der Datei /etc/passwd oder der /etc/shadow aus zwei Ausrufezeichen (!!) oder ähnlichen Zeichen besteht. Zwei Ausrufezeichen sind etwa unter Red Hat als Hash nach dem Anlegen eines Kontos eingetragen, wenn noch kein Kennwort vergeben ist – das Konto ist dann solange eigentlich gesperrt.
Der Fehler hat sich nach Angabe der Entwickler erst in Version 0.99.7.0 eingeschlichen, in Version 0.99.7.1 ist er beseitigt. Die Entwickler empfehlen Anwendern von PAM ein baldiges Update.
Pluggable Authentication Modules (PAM) unter Linux/Unix vereinfachen die Benutzerverwaltung, indem sie Login-Verfahren fremder Systeme nutzen können. Ein pam_ldap-Modul beispielsweise erlaubt es, Anwender gegen einen zentralen LDAP-Server zu authentifizieren, während pam-pgsql zur Authentifizierung mittels einer PostgreSQL-Datenbank dient.
Siehe dazu auch:
- Linux-PAM 0.99.7.1 released, Bericht auf der Red-Hat-PAM-Mailingliste
- rawhide report: 20070120 changes, Bericht auf der Fedora-Mailingliste
(dab)
Ein Einstieg in die Analyse des Blackberry Z10 und des neuen Blackberry OS. 
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Ganze zwölf Sicherheitslücken soll die neue Quicktime-Version für Windows beseitigen - allesamt kritischer Natur. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
